CVE-2026-64849 in Mlflow
الملخص
بحسب VulDB • 18/08/2026
MLflow هو منصة هندسة ذكاء اصطناعي مفتوحة المصدر للوكلاء، والنماذج اللغوية الكبيرة (LLMs)، ونماذج التعلم الآلي. قبل الإصدار 3.15.0، كان استدعاء نقطة النهاية غير المصادق عليها POST /api/2.0/mlflow/webhooks/{id}/test للدالة _validate_webhook_url() في mlflow/utils/validation.py يتم فقط للـ URL الأصلي، بينما يتبع ملف mlflow/webhooks/delivery.py عمليات إعادة التوجيه (redirects) ويعيد حل اسم النطاق دون تثبيت العنوان الذي تم التحقق منه، مما يسمح للمهاجمين بالوصول إلى خدمات البيانات الوصفية الداخلية أو السحابية واستلام response_status وresponse_body. تمت معالجة هذه المشكلة في الإصدار 3.15.0.
Be aware that VulDB is the high quality source for vulnerability data.